Mac 也会遇到恶意软件、木马和勒索软件。macOS 自带 Gatekeeper、XProtect 等安全机制，能拦截不少已知威胁，但这不代表装好系统就可以完全不管。真正稳妥的做法，是把系统更新、软件来源、账户权限和独立备份一起做好。
简单讲，恶意软件是会偷偷执行不该做的操作的软件；勒索软件则可能加密您的文件，再要求付钱解锁。下面小编按日常使用顺序，带您检查 Mac 的防护设置，并说明发现异常后该怎么处理。若您想先认识木马、勒索软件、信息窃取和 ClickFix 等威胁类型，可阅读Mac 恶意软件常见类型与感染途径。
一、先了解 macOS 自带的三层防护
macOS 并不是只靠一个杀毒功能。Apple 将防护分成几层：尽量阻止恶意软件启动、识别并拦截已知威胁，以及在发现感染后尝试清除。了解这些功能的边界，才不会误以为它们能拦住所有攻击。
| 功能 | 简单理解 | 主要作用 |
|---|---|---|
| Gatekeeper | 软件入场检查 | 检查下载应用的开发者签名、公证状态，并在首次打开时提醒用户确认 |
| Notarization（公证） | Apple 的恶意软件检查流程 | 检查开发者提交的软件是否含有已知恶意内容 |
| XProtect | 系统内置恶意软件防护 | 利用特征识别已知恶意软件，并在检测到威胁时阻止或处理 |
| 后台安全更新 | 自动补充防护规则 | 更新系统数据文件、安全配置和相关防护组件 |
Apple 的安全说明提到，XProtect 会在应用首次打开、应用文件发生变化，以及恶意软件特征更新时检查相关内容；它也包含感染清理能力。不过，安全机制主要针对已知威胁和可识别行为，不能保证所有新型恶意软件都不会运行。
Gatekeeper 不要随便绕过
如果 Mac 提示“无法检查是否包含恶意软件”或“无法验证开发者”，先不要急着点“仍要打开”。建议先到软件开发者的官方网站确认下载来源、版本和数字签名；找不到可信来源，就不要安装。不要为了运行一个来历不明的工具，长期关闭 Gatekeeper 或降低系统安全设置。
XProtect 不是万能杀毒软件
XProtect 能识别 Apple 已知的恶意软件特征，并通过系统安全数据更新获得新规则，但它不能替您判断每封邮件是否诈骗，也不能保证识别所有刚出现的攻击。遇到要求输入管理员密码、安装描述文件或执行终端命令的陌生提示，先停下来核实。
二、按这 5 步检查 Mac 的安全设置
第 1 步：打开自动安全更新
系统更新不只是增加新功能，也会修补已经发现的安全漏洞。建议打开自动更新，并确认系统数据文件和安全更新选项处于开启状态。
- 打开苹果菜单，进入“系统设置”。
- 选择“通用”，再进入“软件更新”。
- 打开“自动更新”旁边的详细选项。
- 确认“安装系统数据文件和安全性更新”已开启；如果有可用的 macOS 更新，也安排时间安装。
- 安装完成后按提示重新启动 Mac，不要长期搁置需要重启才能生效的更新。
不同 macOS 版本的中文名称和菜单位置可能略有差异。若您找不到对应开关，可以在系统设置中搜索“自动更新”或“安全性更新”。
第 2 步：只从可信来源安装软件
- 优先从 Mac App Store 下载应用，或使用软件开发者提供的官方网站。
- 下载前核对网址、开发者名称和应用名称，避免点击广告或仿冒下载按钮。
- 遇到 Gatekeeper 警告时先查明原因，不要为了省事关闭系统保护。
- 避免安装破解软件、来历不明的插件、所谓激活工具和要求执行陌生终端命令的脚本。
- 安装后如果应用突然要求不相关的通讯录、屏幕录制、辅助功能或完整磁盘访问权限，先确认它是否真的需要。
特别留意“复制这段命令到终端就能修复”之类的网络教程。终端命令可能直接下载并执行程序，也可能删除文件或修改系统设置。看不懂命令时，不要因为对方声称是官方客服或技术支持就照做。
第 3 步：检查应用权限和登录项目
恶意软件不一定会弹出明显窗口。有些程序会尝试在后台启动、读取文件或控制屏幕。您可以定期检查自己授权过的项目：
- 进入“系统设置”>“通用”>“登录项与扩展”，检查开机启动和允许在后台运行的应用。
- 进入“隐私与安全性”，检查辅助功能、屏幕与系统录音、完整磁盘访问、文件与文件夹等权限。
- 关闭不认识、已卸载或不再需要的应用权限；不确定时先核实应用开发者，不要随意删除系统组件。
- 检查浏览器扩展，移除来源不明或长期不用的扩展。
菜单名称会随系统版本略有不同。若 Mac 由公司或学校管理，部分选项可能由管理员统一设置，个人账户不一定能更改。
第 4 步：日常账户不要一直使用管理员权限
管理员账户可以安装软件和更改重要设置。日常浏览网页、看视频和处理普通文件时，尽量使用标准用户账户；只有确实需要安装或维护软件时，才输入管理员密码。看到不明程序索要密码，先确认它正在做什么。
第 5 步：检查防火墙和共享服务
打开“系统设置”中的“网络”>“防火墙”，确认防火墙状态，并检查允许接入的应用。再到“通用”>“共享”，关闭您不需要的文件共享、屏幕共享、远程登录和远程管理。
防火墙不能代替软件来源检查，也不能保证挡住所有钓鱼或木马。若您确实需要远程连接 Mac，应限制允许访问的用户，并优先通过可信 VPN 或其他安全通道连接，不要把文件共享等服务直接暴露到整个互联网。关于公网地址和远程入口，可以继续阅读Mac 公网 IP 地址怎么查及远程访问风险检查。
三、勒索软件最怕什么？一份可恢复的独立备份
勒索软件可能加密 Mac 上的文件，也可能影响连接着的外置硬盘和同步目录。因此，备份不能只看“有没有上传到云端”，还要确认您能否找回较早版本，以及攻击发生时备份是否也处于可被修改的状态。
| 备份方式 | 优点 | 需要注意 |
|---|---|---|
| Time Machine 外置硬盘 | 可按时间点恢复文件和旧版本 | 备份完成后可安全退出并断开硬盘，避免长期连接 |
| 云端备份服务 | 设备损坏或本地文件受影响时仍可能有副本 | 确认是否支持版本历史、删除文件恢复和保留期限 |
| 离线副本 | 平时不连接电脑，降低被恶意软件同时修改的机会 | 需要定期手动更新，并妥善保管硬盘 |
| 同步盘 | 方便多设备访问和协作 | 同步不等于备份，误删或加密文件可能同步到其他设备 |
用 Time Machine 建立基础备份
- 准备一块容量足够的外置硬盘，建议为 Mac 内置存储容量预留约两倍空间。
- 连接硬盘，打开“系统设置”>“通用”>“Time Machine”。
- 选择“添加备份磁盘”，按提示选中硬盘并完成设置。
- 如有加密备份选项，设置并妥善保存备份密码。
- 等待首次备份完成，之后定期检查最近一次备份的时间。
- 备份结束后，按系统提示安全推出硬盘；不需要备份时可断开连接，另存一份离线副本。
Time Machine 会按计划保留不同时间点的备份，但最旧的备份可能在空间不足时被清理。建议您偶尔实际尝试恢复一份不重要的文件，确认备份盘能读取、密码记得住、恢复流程也能正常完成。
另外，FileVault 主要用于加密 Mac 内置磁盘，防止设备丢失后资料被轻易读取；它不能代替备份。您可以参考Mac FileVault 恢复密钥查看与验证方法，把磁盘加密和恢复密钥也一并检查。
四、怀疑 Mac 已经中毒，应该怎么处理？
如果突然出现文件无法打开、文件名被批量修改、屏幕出现勒索信息、浏览器不断跳转，或 Mac 在安装陌生软件后出现异常，不要急着继续操作或向对方付款。可以按下面顺序处理：
- 先断开网络：关闭 Wi-Fi、拔掉网线，暂时断开外置硬盘和其他不必要的设备，减少恶意程序继续传播或连接远程服务器的机会。
- 不要继续输入密码：暂停登录银行、邮箱和其他重要账户，也不要在可疑窗口输入管理员密码。
- 记录异常信息：记下出现的提示、时间、最近安装的软件和涉及的文件。若是工作设备，尽快联系公司 IT 或安全人员。
- 用可信设备保护账户：如果怀疑密码已泄露，用另一台干净设备修改重要账户密码，检查登录记录并启用多重认证。
- 寻求可靠的清理和检查：使用 Apple 官方支持或可信的安全服务确认问题，不要从弹窗广告下载所谓“一键清毒工具”。
- 确认系统干净后再恢复文件：从攻击前的 Time Machine 或其他独立备份恢复。不要把刚受感染时的文件和程序不加检查地全部复制回来。
如果文件已经被加密，付款也不保证能拿回资料。先保留相关证据，避免覆盖可能可恢复的数据，并寻求专业帮助。若涉及公司资料、客户信息或财务数据，还应按组织的安全事件流程及时报告。
五、Mac 恶意软件防护日常检查清单
- 系统和安全数据更新保持开启，及时安装重要更新。
- 应用优先从 App Store 或开发者官方网站下载。
- 不运行来历不明的破解软件、脚本和终端命令。
- 每隔一段时间检查登录项、浏览器扩展和应用权限。
- 只开放确实需要的共享服务，并检查防火墙设置。
- 定期运行 Time Machine 备份，并保留一份断开连接的副本。
- 确认备份能恢复，且备份密码和恢复密钥保存在安全位置。
常见问题（FAQ）
1. Mac 自带杀毒软件吗？还需要另外安装吗？
macOS 自带 Gatekeeper、XProtect 等防护。是否需要第三方安全软件，要看您的使用环境和管理要求；无论是否安装，都不能代替及时更新、谨慎下载和独立备份。
2. Gatekeeper 提示无法验证开发者，可以强行打开吗？
不要急着绕过。先确认软件是否来自开发者官方网站、是否有可信的更新版本。无法确认来源时，建议不要打开。
3. Time Machine 备份能防勒索软件吗？
它能帮助恢复较早版本的文件，但不能保证所有攻击都无法影响备份。建议备份完成后断开硬盘，并额外保留独立的离线或云端版本历史备份。
4. iCloud 或 Dropbox 同步了文件，算不算备份？
不完全算。同步服务主要让多台设备保持文件一致，误删或被加密的文件也可能同步出去。请确认服务是否提供版本历史和删除恢复，并保留另一份独立备份。
5. Mac 出现勒索提示，我应该先做什么？
先断开网络和外置备份盘，不要付款或继续输入密码；记录异常情况，再通过可信的安全支持检查设备，确认干净后才从攻击前的备份恢复。
总结
保护 Mac 不需要把所有安全工具都装一遍。先保持系统和安全更新，再从可信来源安装软件，定期检查权限与共享服务，最后建立能实际恢复的独立备份。macOS 自带防护可以挡住不少已知威胁，但谨慎操作和可恢复的备份，才是面对未知风险时更可靠的底线。
主要参考来源：Apple：macOS 恶意软件防护机制；Apple：安全地打开 Mac 应用；Apple：macOS 后台安全更新；Apple：使用 Time Machine 备份 Mac；Apple：使用 Time Machine 恢复文件。